El año pasado estuvo bastante animado con fallos muy mediáticos (nombres propios, webs dedicadas, etc.). En Everything you need to know about the POODLE SSL bug Troy Hunt hacía un resumen bastante amplio del tema y que vale la pena conservar después de haberlo leído.

Sobre el nombre:

Enough with the crazy bug names, why Poodle?!

No, not Poodle, POODLE – the Padding Oracle On Downgraded Legacy Encryption. In the modern era of fancy bug names, the guys who names this must have been ecstatic when they realised that the acronym actually made a whole heap of sense! But really, that’s exactly what it is – a protocol downgrade support that then exploits a legacy encryption implementation. Nice one guys!

Naturalmente, también escribió Everything you need to know about the Shellshock Bash bug, que también es interesante.

Ahora que acaba de empezar la temporada de Fórmula 1 puede ser un buen momento para recordar esta entrada del blog F1Metrics donde explicaban en Building a race simulator algunos parámetros de los simuladores que se utilizan para analizar (y preparar) la estrategia: orden en el uso de las ruedas, número de paradas. Para ello hay que analizar diversos parámetros y alimentar el programa con los datos adecuados para que los resultados tengan sentido.

Muy interesante, si te interesan los temas de simulación o las carreras.

Desde hace algún tiempo tengo rondando por aquí un par de documentos sobre seguridad en proyectos ágiles pero nunca he tenido el tiempo necesario (ni tampoco es un tema que salga tan frecuentemente) para re-visitarlos y escribir aquí. Así que, por si le son de utilidad a alguien los dejo sin mucho comentario:

• Securosis publicó un informe en noviembre: New Research Paper: Secure Agile Development. Se puede descargar directamente de [PDF] Secure Agile Development.
• An Initiative to Address the Information Security Gap es un portal sobre el tema, aunque no parece tener mucho movimiento.

Además, habíamos hablado de temas relacionados en:

• Desarrollo ágil y algunos problemas que aparecen a veces.
• Desarrollo ágil y seguridad

Al final, hay que acordarse de la seguridad independientemente del modelo de desarrollo seguido.

Lo voy a decir desde el principio. La frase que más me gustó de este texto es:

“You go to the security conferences, and it’s all about breaking things,” Sullivan says. “It’s not about building things.”

Esencialmente coincide con mi forma de ver las cosas: ‘romper’ sistemas y encontrar fallos puede ser muy interesante y hasta ‘sexy’ pero no estoy seguro de que sea la forma en que la mayoría de nosotros deberíamos enfrentarnos a los temas de seguridad. Tenemos que aprender, creo, pautas para desarrollar sistemas (y programas) lo mejor posible, teniendo en cuenta la usabilidad, la gestión y todo el proceso que va alrededor de estos productos. Tiene sentido conocer las cosas que han ido mal y por qué se han roto, pero el enfoque debería ser hacia construirlas para evitar esos problemas.

El artículo es Facebook, Google, and the Rise of Open Source Security Software se habla de algunos responsables de seguridad de empresas como Facebook y Google que no sólo piensan lo de construir sistemas seguros. Pero no sólo eso, también comparten sus desarrollos para que otros puedan sacar partido de ello:

“The concept of releasing software—and the specific ways we go about making infrastructure more secure—hasn’t really caught on yet with the wider security community, but we’re getting there,” says Arpaia. “I think OSquery can be a good push in that direction.”

Mucho se está hablando últimamente de los relojes inteligentes, sobre todo con la puesta a la venta del Apple Watch. La inteligencia de esos aparatos viene de que son ordenadores y, como tales, pueden ser el objetivo de los atacantes y víctimas a través de diveras vulnerabilidades.

En Un atacante remoto puede borrar todos los datos del reloj Pebble nos contaban el caso de los relojes Pebble, uno de los primeros casos de éxito.

En este caso el problema parecía ser una denegación de servicio cuando se reciben demasiados mensajes (que podría ser una simple olestia) que se convierte en borrado de datos porque se produce una restauración del dispositivo a su estado inicial.

No es la primera vez que nos encontramos con fallos en los mensajes: SMS y fallos. Ahora en Windows Phone y Nuevos ataques con SMSs. Hay más. Pero yo me he acordado de uno bastante más viejo: Hackeando una red de telefonía con SMS’s. En este se exploraban los límites de los teléfonos de la época (mucho menos capaces que ahora, era el año 2005) y las propias redes.

En DoSing Pebble SmartWatch And Thus Deleting All Data Remotely se puede leer algún detalle más.